Quand la promesse d’une sécurité intelligente, adaptative et automatisée devient une réalité...

Quand la promesse d’une sécurité intelligente, adaptative et automatisée devient une réalité...

Avec la transformation digitale, le rôle des RSSI et des équipes sécurité évolue fortement pour répondre à de nouveaux défis. La sécurité n’est plus seulement une question d’informatique. La discipline recouvre désormais aussi bien le monde des objets connectés, de la sécurité industrielle, de la sécurité physique et des identités. Les responsables sécurité sont au cœur de la réflexion visant à évaluer les risques métiers et à décider ceux qu’il est acceptable, voire indispensable de prendre afin de permettre aux utilisateurs de créer et de partager dans un monde ouvert et interconnecté.

Spécialistes de la sécurisation des transactions, les équipes de DenyAll décryptent pour nous les enjeux de cette sécurisation, évoquent l’évolution récente des solutions de sécurité­ applicative et les composants essentiels pour une stratégie de sécurité globale efficace !

« La sécurité est un véritable atout pour la transformation digitale des organisations ! Mais pour qu'elle soit efficace, elle doit intégrer la gestion des vulnérabilités, la sécurisation des flux web et des APIs et l’authentification adaptative des utilisateurs au sein d'une réflexion stratégique à 360° degrés. » explique Jacques Sebag, directeur général de DenyAll.

Créer et partager des données en toute sécurité

DenyAll s'emploie donc à faciliter la création et le partage sécurisé entre et avec les bonnes personnes, via de multiples applications, outils et points d’accès et ce dans un environnement agile très dynamique. Il est essentiel en amont d'évaluer le risque business et d'investir en sécurité applicative car, contre toutes idées reçues, les firewalls réseau et IPS ne peuvent voir et donc bloquer toutes les attaques de la couche 7 !

Au sein d’un pare-feu applicatif de nouvelle génération (NextGen WAF), l’évaluation de la réputation des utilisateurs s’appuie sur l’analyse comportementale pour comprendre l’intention des utilisateurs et prendre des décisions adaptées au niveau de confiance qui découle de cette évaluation. Elle permet de mettre en place une politique de sécurité ajustée, qui facilite les interactions numériques sans toutefois autoriser les actions illégales et dangereuses, susceptibles de mettre en danger les données de l’entreprise et celles de ses clients. 

 « Pour protéger nos sites et les données de nos clients, nous avions besoin d’une solution de protection industrielle, capable de supporter de gros trafics, capable de gérer un grand nombre d’applications et de s’adapter à l’évolution des menaces. L’interface intuitive permet de concilier clarté, souplesse et grande capacité de configuration. »

Francis Bergey, RSSI adjoint de Voyages-SNCF.com

Contrôler le comportement des utilisateurs

Avec la disparition du périmètre réseau traditionnel, le combat pour la sécurité numérique s’est déplacé vers le contrôle du comportement des utilisateurs au sein des applications. Le but est de pouvoir discerner les robots des personnes réelles et de contrôler comment ces dernières utilisent les droits qui leur sont accordés. Pour cela, des fonctionnalités d’analyse comportementale ont été développées et intégrées dans les pare-feux applicatifs, pour bloquer les attaques qui ciblent la logique métier des applications et services web. « En vérifiant que les requêtes proviennent d’utilisateurs légitimes et en vérifiant qu’elles ne sont pas malveillantes , l’analyse comportementale s’avère efficace pour empêcher les attaques par déni de service visant les applications, les attaques en brute force sur les formulaires d’authentification, le vol de cookies, la défiguration de site web ou encore le vol de données. » détaille Stéphane de Saint Albin, VP Marketing & Business Development de DenyAll. 

Evaluer la réputation

Au-delà de ce que l’analyse comportementale permet d’accomplir aujourd’hui dans la lutte contre les robots malicieux, l’évaluation de la réputation des utilisateurs est une fonctionnalité nouvelle, propre aux WAFs de nouvelle génération, qui s’avère indispensable pour mettre en place une politique de sécurité adaptée aux défis actuels. « L’intelligence accrue et la capacité à s’adapter au contexte et au comportement changeant de l’utilisateur rend la sécurité applicative encore plus pertinente. Dans un monde où le périmètre d’entreprise s’est littéralement dissous, il convient de donner les moyens aux utilisateurs d’accéder en sécurité aux applications, afin qu’ils puissent interagir et créer de la valeur, sans néanmoins abuser de leurs droits ou devenir un vecteur d’attaque. » ajoute Stéphane de Saint Albin. Grâce à une authentification adaptative, la sécurité reste ainsi transparente pour les utilisateurs.

La réputation, au-delà du comportemental

L’évaluation de la réputation des utilisateurs permet de suivre ces derniers dans la durée et d’évaluer le niveau de confiance qu’on peut accorder à un utilisateur donné, en calculant un score de réputation basé sur de multiples sources d’information, dont son contexte et son comportement au sein des applications. Il devient ainsi possible de prévoir les scénarios de réponses adaptés à l’évolution de ce score. « Le calcul du score doit prendre en compte la manière dont la personne accède aux applications (méthode d’authentification, géolocalisation), ce qu’elle y fait (pages visitées, temps écoulé, tentatives d’attaques), ainsi que des données externes d’intelligence sur les menaces, telles que la réputation de l’adresse IP depuis laquelle l’utilisateur s’est connecté. » souligne Stéphane de Saint Albin.

Le score de réputation de l’utilisateur augmentera et diminuera en fonction de la façon dont il utilise la ou les applications. Ainsi, lorsque les données d’identification de l’utilisateur sont utilisées pour se connecter à partir d’un emplacement inhabituel, le score peut être légèrement diminué. Il diminuera davantage encore si les mêmes informations sont utilisées depuis plusieurs lieux éloignés dans un laps de temps trop court, ou encore si l’utilisateur est un vecteur d’attaque avéré sur l’application (injections, scripts, etc). Dès que le score passe sous un certain seuil, le WAF de nouvelle génération peut non seulement générer une alerte mais adopter des mesures défensives, telles qu’un challenge d’authentification (captcha, authentification forte), une redirection, la restriction ou même le refus d’accès à l’application pour l'utilisateur concerné.

Changement de méthodes

Les APIS et les web services sont au cœur des développements applicatifs modernes, qui utilisent de plus et plus les méthodes agiles d’intégration et de déploiement continus. Ces technologies et ces méthodes créent de nouveaux défis en termes de sécurité. « Le rapprochement entre les équipes de développement et celles chargées de déployer les applications est l’occasion pour les équipes sécurité de prendre part au débat. La réflexion sur les risques comme les outils de sécurité s’inscrivent naturellement dans ces nouvelles méthodes de travail. En intégrant la sécurité, les initiatives « DevOps » deviennent « DevSecOps » poursuit Stéphane de Saint Albin.

 

Stratégie d’intégration et d’innovation technologique au sein de DenyAll

Toujours à la pointe, DenyAll renforce cette année ses investissements dans l’innovation afin d’offrir une plateforme de nouvelle génération adaptée aux besoins des entreprises en pleine mutation digitale. « Notre stratégie d’intégration et d’innovation technologique nous permet de fournir une plateforme efficace pour sécuriser les applications modernes, qui maximise la productivité des équipes dont c’est la responsabilité. Nous aurons terminé à la fin de l’année de fusionner les technologies issues de nos acquisitions récentes. Les prochaines évolutions seront orientées vers l’automatisation de la sécurisation des applications, notamment dans les environnements cloud, hybrides et mobiles. » ajoute le VP Marketing & Business Development et de conclure « avec ses capacités nouvelles, la promesse d’une sécurité intelligente, adaptative et automatisée devient une réalité ».


PrécédentAccueilSuivantPartager